o processo de avaliação de riscos se resume à identificação e análise dos riscos, sendo a avaliação formal de sua aceitabilidade uma etapa opcional, recomendada apenas em projetos de alta complexidade.

a estimativa quantitativa de riscos é sempre preferível à abordagem qualitativa, por fornecer resultados mais exatos e confiáveis para a tomada de decisão, mesmo que os dados utilizados sejam incompletos ou incertos.

o processo de monitoramento e análise crítica é dispensável quando a organização já possui controles internos bem estabelecidos, salvo em situações de ocorrência de incidentes significativos.

a etapa de tratamento de riscos consiste em selecionar e implementar medidas que modifiquem a probabilidade e/ou o impacto dos riscos, devendo ser acompanhada de reavaliações sucessivas para verificar se o risco residual está dentro dos critérios previamente definidos.

a comunicação dos riscos deve ser feita exclusivamente aos tomadores de decisão internos, com vistas a garantir o sigilo da avaliação de riscos e evitar interpretações externas equivocadas.